[論文レビュー] AUSERA: Large-Scale Automated Security Risk Assessment of Global Mobile Banking Apps.

Sen Chen, Guozhu Meng+8 more|arXiv (Cornell University)|May 14, 2018

Advanced Malware Detection Techniques参考文献 38被引用数 16

ひとこと要約

本稿では、自然言語処理（NLP）と静的コード解析を統合した三段階の自動化システム、AUSERAを提案する。このシステムは、80か国以上をカバーする世界中のモバイルバンキングアプリ693件を分析し、2,157件の脆弱性を特定した。21の銀行が報告された問題を確認しており、古くなったバージョン、サードパーティーライブラリの汚染、弱いハッシュ関数といったリスク要因が顕在化している。

ABSTRACT

Contemporary financial technology (FinTech) that enables cashless mobile payment has been widely adopted by financial institutions, such as banks, due to its convenience and efficiency. However, FinTech has also made massive and dynamic transactions susceptible to security risks. Given large financial losses caused by such vulnerabilities, regulatory technology (RegTech) has been developed, but more comprehensive security risk assessment is specifically desired to develop robust, scalable, and efficient financial activities. In this paper, we undertake the first automated security risk assessment and focus on global banking apps to examine FinTech. First, we analyze a large number of banking apps and propose a comprehensive set of security weaknesses widely existent in these apps. Second, we design a three-phase automated security risk assessment system (Ausera), which combines natural language processing and static analysis of data and control flows, to efficiently identify security weaknesses of banking apps. We performed experiments on 693 real-world banking apps across over 80 countries and unveiled 2,157 weaknesses. To date, 21 banks have acknowledged the weaknesses that we reported. We find that outdated version of banking apps, pollution from third-party libraries, and weak hash functions are all likely to be exploited by attackers. We also show that banking apps of different provenance exhibit various types of security weaknesses, mainly due to economies and regulations that take shape. Given the drastic change in the nature of intermediation, it behooves the RegTech companies and all stakeholders to understand the characteristics and consequences of security risks brought by contemporary FinTech.

研究の動機と目的

• フィンテックの急速な普及と取引量の増加に伴い、世界的なモバイルバンキングアプリにおけるセキュリティリスクが拡大する背景に対処すること。
• スケーラブルで自動化されたシステムを構築し、大規模なモバイルバンキングアプリケーションにおけるセキュリティ上の欠陥を同定すること。
• 規制および経済的要因が、異なる地域におけるバンキングアプリに存在する脆弱性の種類にどのように影響を与えるかを理解すること。
• 金融機関および規制当局が利用可能な包括的で自動化された評価フレームワークを提供することで、RegTechを支援すること。

提案手法

• AUSERAフレームワークは、三段階のアーキテクチャを採用する。まず、コードの静的解析によりデータフローと制御フローを分析し、次に、アプリのドキュメンテーションおよびメタデータの自然言語処理を実施し、最後に、両者の分析結果を照合してセキュリティ上の欠陥を同定する。
• 静的解析を活用し、ハードコードされたシークレットや弱い暗号関数といった、不適切なコーディングパターンを特定する。
• 自然言語処理を用いて、アプリの説明、権限、サードパーティーライブラリの参照からセキュリティ関連情報を抽出する。
• 静的解析とNLP解析の結果を照合することで、誤検出を低減し、検出精度を向上させる。
• 脆弱性の深刻度を、利用可能性（exploitability）と潜在的影響に基づいて優先順位付けするためのリスクスコアリングモデルを採用する。
• 本フレームワークは、80か国以上から収集した693件の実世界のバンキングアプリから成るデータセットを用いて評価された。

実験結果

リサーチクエスチョン

• RQ1 世界規模のモバイルバンキングアプリに最も一般的に見られるセキュリティ上の欠陥は何か？
• RQ2 静的解析とNLPを統合した自動化システムは、バンキングアプリの脆弱性を検出する上でどの程度有効か？
• RQ3 規制および経済的要因の違いが、地域ごとのバンキングアプリに存在する脆弱性の種類にどの程度影響を及えるか？
• RQ4 古くなったバージョン、サードパーティーライブラリの汚染、弱いハッシュ関数といった特定の脆弱性は、どれほど頻繁に悪用されているか？
• RQ5 実際の運用において、どの程度の銀行が自動化された脆弱性報告に対して認識し、対応しているか？

主な発見

• 80か国以上をカバーする693件の実世界のモバイルバンキングアプリにおいて、合計2,157件のセキュリティ上の欠陥が同定された。
• AUSERAシステムを通じて報告された脆弱性について、21の銀行が確認しており、実社会への影響と迅速な反応の可能性を示している。
• 古くなったバージョンのバンキングアプリが、悪用可能な脆弱性の主要因であることが判明した。
• サードパーティーライブラリがセキュリティ汚染を顕著に増大させ、攻撃面を広げていた。
• 弱いハッシュ関数が一般的に使用されており、暗号攻撃のリスクが高まっていた。
• 異なる地域のバンキングアプリには、地域の規制および経済状況に大きく影響を受ける特徴的な脆弱性パターンが見られた。